Jenkins Plugins 多个清静误差危害通告

宣布时间 2020-01-17

误差编号和级别


CVE编号：CVE-2020-2095，，， ，危险级别：中危，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-2094，，， ，危险级别：中危，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-2097，，， ，危险级别：高危，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-2096，，， ，危险级别：中危，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-2091，，， ，危险级别：低危，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-2090，，， ，危险级别：低危，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-2093，，， ，危险级别：中危，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-2092，，， ，危险级别：高危，，， ，CVSS分值：官方未评定

CVE编号：CVE-2020-2098，，， ，危险级别：高危，，， ，CVSS分值：官方未评定


影响版本


Amazon EC2 Plugin < 1.48

Robot Framework Plugin < 2.0.1

CloudBees Plugin < 3.0.1

Redgate SQL Change Automation Plugin < 2.0.5

Gitlab Hook Plugin <= 1.4.2

Sounds Plugin <= 0.5  


误差概述


Jenkins是一个开源软件项目，，， ，是基于Java开发的一种一连集成工具，，， ，用于监控一连重复的事情，，， ，旨在提供一个开放易用的软件平台，，， ，使软件的一连集成酿成可能。。。。


Jenkins官方宣布了其6个插件的9个CVE相关清静通告，，， ，详情如下：


Amazon EC2 Plugin 中保存CSRF误差（CVE-2020-2090）和缺少权限检查误差（CVE-2020-2091）


Amazon EC2插件1.47和更早版本不会在执行表单验证的要领中执行权限检查。。。。别的，，， ，这些表单验证要领不需要POST请求，，， ，从而导致CSRF误差。。。。


Robot Framework Plugin 中保存XXE误差（CVE-2020-2092)


Robot Framework Plugin 2.0.0及更早版本没有设置XML剖析器来避免XML外部实体（XXE）攻击。。。。


CloudBees Plugin 的 Health Advisor 中保存CSRF误差（CVE-2020-2093）和缺少权限检查误差（CVE-2020-2094）


CloudBees Plugin 3.0 和更早版本中的 Health Advisor 在执行表单验证的要领中不执行权限检查。。。。别的，，， ，这些表单验证要领不需要POST请求，，， ，从而导致CSRF误差。。。。


Redgate SQL Change Automation Plugin 明文存储凭证（CVE-2020-2095）


Redgate SQL Change Automation Plugin 2.0.4及更早版本将未加密的NuGet API密钥存储在job config.xml文件中，，， ，作为其设置的一部分。。。。


Gitlab Hook Plugin 保存反射型XSS（CVE-2020-2096）


Gitlab Hook Plugin 1.4.2 和更早版本没有转义 build_now 终结点中的项目名称。。。。


Sounds Plugin 保存CSRF误差（CVE-2020-2098）和缺少权限检查允许操作系统下令执行（CVE-2020-2097）


Sounds Plugin 0.5 及更早版本不在执行表单验证的URL中执行权限检查。。。。别的，，， ，这些表单验证URL不需要POST请求，，， ，从而导致CSRF误差。。。。


误差验证


暂无POC/EXP。。。。


修复建议


现在厂商已宣布升级补丁以修复误差，，， ，补丁获取链接：https://jenkins.io/security/advisory/2020-01-15/#descriptions。。。。

缓解步伐：为缓解保存误差尚无修复程序的插件，，， ，请不要对外开放Jenkins，，， ，做好Jenkins用户账号治理，，， ，若非须要，，， ，请禁用受影响的插件。。。。


参考链接


https://jenkins.io/security/advisory/2020-01-15/#descriptions